PT-2020-15543 · Jenkins · Jenkins Azure Key Vault Plugin+1
CVE-2020-2313
·
Publicado
2020-11-04
·
Atualizado
2023-10-25
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Azure Key Vault, versões 2.0 e anteriores
Descrição
A ausência de uma verificação de permissão no plugin Jenkins Azure Key Vault permite que invasores com permissão “Overall/Read” enumerem os IDs das credenciais armazenadas no Jenkins. Esse problema afeta vários pontos de extremidade HTTP, que podem ser usados como parte de um ataque para capturar as credenciais por meio de outra vulnerabilidade.
Recomendações
Para o Jenkins Azure Key Vault Plugin versões 2.0 e anteriores, atualize para a versão 2.1 ou posterior, que exige permissões apropriadas para a enumeração de IDs de credenciais. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados para minimizar o risco de exploração.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Azure Key Vault Plugin